Vazamento de dados de Chatbooks

O principal risco no caso da Chatbooks é a possibilidade de associar o nome, o endereço de e-mail, o número de telefone e as informações do perfil de redes sociais a um mesmo usuário. Essa combinação permite que invasores enviem mensagens que pareçam verossímeis para o usuário. No contexto de um serviço de fotolivros e impressão de lembranças, golpes com temas relacionados à família, a ocasiões especiais, presentes, pedidos e entregas podem se tornar mais convincentes. Usuários com um número de telefone nos dados podem ser alvo de mensagens de texto e ligações; aqueles com um perfil de redes sociais podem correr o risco de serem seguidos, terem sua identidade usurpada ou terem seus perfis associados entre diferentes plataformas.

Armazenar senhas como hashes SHA-512 com salt oferece mais proteção do que expô-las em texto simples; no entanto, isso não é suficiente, por si só, para garantir a segurança. Senhas curtas, previsíveis ou já presentes em outros vazamentos ainda podem ser descobertas a partir dos hashes. O risco aumenta se o usuário tiver reutilizado a mesma senha em contas de e-mail, redes sociais, serviços de fotos, compras ou armazenamento em nuvem. A informação de que há tokens de acesso a redes sociais em uma pequena parcela dos registros também deve ser considerada; mesmo que sejam inválidos ou tenham expirado, esses campos podem ajudar invasores a entender conexões com redes sociais e relações entre contas.

O número de contas afetadas neste registro é informado como 2.520.441. O número maior, de aproximadamente 15 milhões de registros, refere-se ao volume total de linhas ou objetos no conjunto de dados e não deve ser interpretado como o número de usuários distintos. As categorias de dados verificadas incluem nomes, endereços de e-mail, números de telefone, perfis de redes sociais e hashes de senhas, além de um risco limitado associado a tokens de acesso. É importante destacar que as senhas não estão em texto simples, mas no formato de hash SHA-512 com salt.

Não há, neste registro, evidências verificadas de arquivos de fotos, álbuns de família, metadados de fotos, cartões de pagamento, informações bancárias, endereços físicos ou números de documentos oficiais de identificação. O fato de a Chatbooks ser um serviço voltado a fotos não significa que o conteúdo das fotos esteja entre os campos de dados verificados deste registro. A descrição deve manter essa distinção; caso contrário, o usuário seria informado de um risco maior do que o escopo real. As informações de perfis de redes sociais e de possíveis tokens de acesso não devem ser confundidas com o conteúdo das fotos e devem ser consideradas um risco separado, relacionado às conexões entre contas.

Os usuários que correm maior risco são aqueles que também usam a senha da conta da Chatbooks em outras contas. Contas de e-mail, redes sociais, serviços de armazenamento de fotos em nuvem e contas de compras devem ser verificadas com atenção especial. Como os serviços de impressão de fotos costumam estar associados a familiares, ocasiões especiais e presentes, invasores podem preparar mensagens que criem uma conexão emocional. Por exemplo, títulos como notificação de pedido, link para álbum de família, aviso de envio ou desconto em presentes podem ser usados para convencer o usuário a clicar no link.

Usuários cujo número de telefone ou perfil de redes sociais consta no cadastro também correm o risco de serem abordados por vários canais. Um invasor pode primeiro enviar um e-mail e depois uma mensagem por SMS ou pelas redes sociais, reforçando a impressão de que a mensagem é legítima. No caso de pessoas com contas públicas em redes sociais, informações como familiares, listas de amigos, hábitos de compartilhamento de fotos e ocasiões especiais também podem estar visíveis. Portanto, o risco não se limita à conta da Chatbooks; a visibilidade do usuário em outras plataformas também é importante.

Os usuários devem alterar a senha da conta da Chatbooks e definir novas senhas exclusivas para todas as contas em que a mesma senha é usada. Mesmo que a senha não tenha vazado em texto simples, senhas fracas ou reutilizadas podem ser descobertas com o tempo e testadas em outros serviços. Usar um gerenciador de senhas facilita a criação de senhas diferentes e longas para cada serviço. As contas de e-mail e de redes sociais devem ser protegidas com prioridade, pois são usadas para redefinir senhas e autenticar o acesso a outros serviços.

A autenticação de dois fatores deve ser ativada nas contas de e-mail e de redes sociais. Os usuários devem ter cautela com links em mensagens inesperadas relacionadas à Chatbooks, impressão de fotos, envios, descontos, álbuns de família ou presentes. É importante verificar os aplicativos conectados, as sessões autorizadas e os acessos de terceiros nas contas de redes sociais. Aplicativos desconhecidos devem ser removidos, sessões antigas devem ser encerradas e os alertas de segurança devem permanecer ativados. Códigos de verificação nunca devem ser compartilhados, e pedidos de senha recebidos por telefone nunca devem ser atendidos, em nenhuma circunstância.

Serviços de fotografia e de registro de lembranças estão ligados à vida privada dos usuários; por isso, a segurança da conta não deve ser vista apenas como uma questão técnica. A longo prazo, devem ser usadas senhas diferentes e fortes para contas de serviços voltados à família, fotografia, armazenamento em nuvem e redes sociais. Conexões desnecessárias em serviços vinculados por meio de redes sociais devem ser removidas regularmente, e apenas aplicativos usados ativamente devem continuar autorizados. As opções de encerramento de conta ou exclusão de dados devem ser revisadas periodicamente.

Para as instituições, violações desse tipo indicam que os dados pessoais mantidos em serviços de acesso e de fotografia vinculados a redes sociais precisam ser classificados com cuidado. Tokens de acesso, hashes de senhas e conexões de perfis devem ser protegidos por controles de segurança separados. Para os usuários, a estratégia mais prática é separar, sempre que possível, as contas compartilhadas em situações sensíveis e em serviços voltados à família das contas de redes sociais, limitar as permissões das contas e verificar, por canais oficiais, mensagens inesperadas com temas relacionados a fotos ou entregas.

Uma correspondência neste registro indica que o endereço de e-mail em questão está incluído na lista de endereços de e-mail únicos monitorada no contexto do vazamento de dados da Chatbooks. Uma correspondência não significa que as fotos ou os álbuns de família do usuário tenham sido comprometidos. O risco verificado está relacionado a campos como nome, e-mail, telefone, perfil de redes sociais e hash de senha, além de um risco limitado associado a tokens de acesso. O usuário deve primeiro alterar as senhas das contas em que a mesma senha possa ter sido usada e verificar as conexões com redes sociais.

O próximo passo é manter atenção constante a mensagens fraudulentas com temas relacionados a fotos e redes sociais. Mensagens sobre envios, fotolivros, descontos em datas especiais ou links para álbuns de família devem ser verificadas pelo aplicativo ou domínio oficial, mesmo que pareçam legítimas. É preciso ter cuidado redobrado com links recebidos por mensagens de texto, pois o número de telefone pode ter sido incluído em um cadastro. Se houver sessões ou aplicativos conectados desconhecidos nas contas de redes sociais, eles devem ser removidos e a senha deve ser alterada novamente.